Непонятный исходящий траф

DNS Amplification Attacks

У тебя что DNS открыт для wan'a?

Похоже что это оно

Да, был открыт
Сейчас закрыл))

Когда в файрволе блокирую входящий UDP 53 порт - все приходит в норму и исходящий траф пропадает. Понятное дело ДНС не работает)

Ошибка была в том, что не добавил фильтрацию по конкретному интерфейсу, а включал по всем портам

Вопрос закрыт, спасибо.

Ошибка была в том, что не добавил фильтрацию по конкретному интерфейсу, а включал по всем портам

включал по всем портам

Это как?

Это Mikrotik , там нельзя указать на каком интерфейсе работать ДНС серверу

s/портам/интерфейсам/g

Что-то я рано обрадовался
Траф дальше идет, хз или это была задержка на роутере, даже не знаю как я не увидел что не сработало


http://i.imgur.com/XFZcirB.png
первые 2 правила должны блочить, но не работают
если убрать уточнение для in-interface ether1-gateway, то правило фильтрует, но фильтрует все, что у меня перестает работать ДНС

Кабель провайдера подключен в первый порт роутера. Его я и указываю. Где тут ошибка?

В веб-гуйне отсутствуют все подробности, поэтому нажми слева «New Terminal» и запости сюда вывод ip firewall export.

когда поставил in-interface=opensvit.ua (т.е. подключение PPPoE) тогда начало нормально фильтровать траф и ДНС работает. Но мне все равно не понятно почему не сработало на ether1-gateway. Соединение PPPoЕ идет через этот физический интерфейс.

Но мне все равно не понятно почему не сработало на ether1-gateway

Потому-что DNS-пакеты проходят через ether1-gateway в инкапсулированном виде.

Но поскольку ты настроил PPPoE, микротик понял, что нужно декапсулировать подобные пакеты и «выплевывать» результат на соответствующий интерфейс (opensvit.ua).

Правила мягко говоря «не айс». Я бы сделал что-то подобное:

/ip firewall filter
add chain=input action=accept connection-state=established,related
add chain=input action=accept protocol=icmp
add chain=input action=accept in-interface=bridge-local
add chain=input action=drop
add chain=forward action=drop connection-state=invalid # NAT leakage fix
add chain=forward action=accept connection-state=established,related
add chain=forward action=accept in-interface=bridge-local out-interface=opensvit.ua
add chain=forward action=drop
/ip firewall nat
add chain=srcnat action=masquerade out-interface=opensvit.ua

Запрещено все, что не разрешено.

bridge-local нужно заменить на правильный интерфейс в зависимости от настроек.

спасибо за информацию и за правила. Сегодня подправлю.
Они конечно же не айс, я и подумать не мог что домашний роутер может быть кому-то нужен)

я и подумать не мог что домашний роутер может быть кому-то нужен

Никто не различает между домашним и не домашним. Если настроишь логгирование пакетов на закрытый 22 порт, то уже через пару минут увидишь долбящихся ботов.